Anonymat sur Internet : le guide Réaliste (et ce qui ne fonctionne pas)

« Comment être totalement anonyme sur Internet ? » C’est l’une des questions qu’on se pose le plus à l’ère des données personnelles… Et la réponse honnête, celle qui dérange un peu : l’anonymat total n’existe simplement pas. En revanche, réduire fortement sa trace numérique est à notre portée. Voici ce qui fonctionne vraiment, ce qui relève du mythe, et par quoi commencer.

Qu’est-ce que l’anonymat en ligne ?

Être anonyme, c’est rester non identifiable, sans lien entre nos actions et notre identité. L’anonymat garantit ainsi le respect de notre propre vie privée. Être anonyme sur Internet permet de se sentir en sécurité, de pouvoir surfer sans conséquence, ou encore de contourner les blocages. C’est aussi une façon de se protéger contre les innombrables fuites de données… Et enfin, l’anonymat permet dans certains cas de passer outre la censure ou les restrictions injustifiées.

Pourquoi être anonyme sur Internet ?

Parce qu’après tout, lorsqu’on ne télécharge pas illégalement, qu’on ne pirate personne, et que l’on fait “attention” (?), y a-t-il une vraie raison d’être anonyme en ligne ?

Le problème avec Internet, c’est que des données diverses à votre sujet sont récupérées sans que vous ne vous en rendiez compte. Cela semble anodin, mais l’importance de ces données peut faire très rapidement pencher la balance.

« Je n’ai rien à me reprocher, donc ça ne me concerne pas »

“La raison numéro 1 pour laquelle on met des rideaux dans notre maison, est pour empêcher des personnes de voir à l’intérieur. On le fait car on considère que la plupart des choses que l’on fait à l’intérieur sont privées”

– Joshua (Crypto Paper)

Je vous recommande le discours TED de Glenn Greenwald pour obtenir des éléments de réponses et démonstrations sur l’utilité de l’anonymat, même lorsqu’on n’a rien à se reprocher.

De façon générale, l’anonymat est un acte préventif. De nombreuses fuites de données et autres traitements illégaux de nos données personnelles suffisent pour se mettre en garde.

Pour reprendre l’analogie précédente de Joshua, imaginez mettre des rideaux face à un voisinage rempli de caméras de surveillance et d’individus malintentionnés… et la question de l’anonymat prend immédiatement une toute autre dimension…

Le mythe de l’anonymat total

Il faut casser une croyance populaire selon laquelle installer un VPN nous rend anonyme ou qu’utiliser la « navigation privée » suffit.

Ces outils ont leur utilité, mais ils ne s’attaquent qu’à une fraction du problème. L’anonymat réel, c’est un empilement de précautions cohérentes : la moindre fissure dans cet empilement suffit à vous ré-identifier.

La bonne nouvelle, c’est que vous n’avez probablement jamais besoin d’un anonymat total. Ce dont vous avez besoin, c’est d’un niveau de protection adapté à une menace précise. Et ça, c’est atteignable. 🙂

D’abord : contre qui voulez-vous être anonyme ?

C’est l’étape que tout le monde saute, et c’est la plus importante. En sécurité, on appelle ça définir son modèle de menace. Se protéger d’un annonceur publicitaire, d’un voisin curieux, d’un employeur ou d’un État ne demande pas du tout les mêmes moyens.

Retenez ceci : empiler des outils « au cas où » sans modèle de menace, c’est se compliquer la vie pour rien, et parfois même faire pire (lenteur, introduire des erreurs, etc).

On commence donc toujours par nommer l’adversaire.

Quelles données sont récupérées (ou récupérables) sur VOUS ?

Voici quelques exemples réels de données qui sont récupérées (ou en tout cas récupérables) lors de votre navigation :

• Les robots de Facebook savent ce que vous aimez faire/lire/entendre/voir. Ils savent par exemple interpréter les photos publiées et peuvent même vous reconnaître sur des photos ou vous êtes de dos (lorsque les images ne chargent pas ou pas encore, on peut notamment y lire le contenu interprété au format texte). Aujourd’hui, avec l’IA, cela semble trivial, mais sachez que ça existait déjà 10 ans avant Chat GPT.
• Votre adresse IP, vos cookies, les informations sur votre navigateur, vos habitudes de navigation, vos données transmises en clair (http par exemple)… peuvent être récupérées ou interceptées très facilement. Soit par le fonctionnement classique d’Internet (besoin d’IP et de cookies pour fonctionner correctement), soit par le reniflage réseau permettant de voir les données en clair via le réseau Wifi non sécurisé.
• Les SpyWares (logiciels espions) sont spécialement conçus pour rester discrets sur un ordinateur. Ici on parle plutôt d’infection informatique, et évidemment lorsqu’un intrus met son nez dans nos données, c’est le pire scénario. Un peu comme un cambrioleur qui entre chez vous malgré les rideaux mis aux fenêtres…
• La révélation de l’existence de divers programmes de surveillance dont le fameux PRISM, mené par la National Security Agency (NSA), démontre que Google, Facebook, et bien d’autres, sont associés au programme afin de surveiller les internautes selon des raisons qui parfois leur sont propres.
• Google en sait plus sur vous que votre mère. Par exemple, Google connaît et retient tous les termes que vous aviez recherchés. Vous pouvez jeter un oeil ici : https://history.google.com/history/ (à condition d’être connecté à un compte)
• Le fait que beaucoup d’internautes utilisent le même couple d’identifiant et mot de passe pour plusieurs comptes différents : si l’un est trouvé, l’ensemble s’effondre.
• Votre FAI, le FISC et autres organisations gouvernementales peuvent scruter ce que vous faites en ligne. Cela à travers des lois (comme celle dit sur le renseignement par exemple)
• Les fuites de données (gros point ici…) mettent littéralement à mal vos données médicales, bancaires, et bien d’autres selon le site concerné et la nature de données présentes. Et cela dépasser le cadre de l’anonymat avec un outil, même si on peut prendre des mesures proactives comme créer des documents filigranés, des liens temporaires (comme swisstransfer), ou encore les e-mail alias.
• Les données que vous croyez avoir supprimé d’un site, blog, forum…etc, y compris dans le cadre du RGPD, sont encore en ligne et visibles par tout le monde. Plus d’informations.

Ce n’est qu’une partie à peine visible de l‘iceberg. Imaginez simplement le nombre de révélations qui nous attendent encore d’ici 5 ou 10 ans. Notamment avec l’IA, le Big Data et même la bio-informatique qui signifient ensemble un traitement toujours plus facile de nos données, et qui elles seront toujours plus sensibles.

Je vous propose également une expérience en ligne (sans risques) que j’ai mis au point pour l’occasion, et démontrant ce qu’il est possible de récupérer (en partie seulement) sur vous, rien qu’en visitant un site : ce que l’on sait sur vous.

Les couches de votre trace numérique

Votre identité en ligne se reconstitue ainsi à partir de plusieurs couches indépendantes. Être anonyme, c’est traiter chacune d’elles, car votre adversaire, lui, les recoupera toutes (OSINT).

1. L’adresse IP : c’est votre « numéro de rue » sur le réseau. C’est la couche que VPN et Tor masquent. La plus connue, mais loin d’être la seule.
2. L’empreinte du navigateur (fingerprinting) : la combinaison de votre résolution d’écran, vos polices, votre version de navigateur, vos extensions… forme une signature souvent unique, qui vous suit même sans cookies ni IP. Un peu comme dire “vous avez masqué votre visage, mais vous portez les mêmes chaussures et le même t-shirt”.
3. Les comptes et identifiants : vous connecter à votre boîte mail habituelle réduit à néant tout le reste. Un seul login relie l’anonyme au réel. Ce point est très important car au delà de révéler votre identité lors de la visite, il permet potentiellement de relier l’adresse IP d’un VPN à un compte dans la durée (stockage en base de données).
4. Les métadonnées : les fichiers que vous partagez (photos, PDF) contiennent souvent des données cachées : appareil, localisation GPS, date. Point important également en référence à l’OSINT : même une image sans métadonnées peut révéler bien des choses. Par exemple la date de prise de la photo à l’aide du lieu trouvé et du placement des ombres/soleil, ou encore les informations présentes sur l’image en elle même (logos, noms, plaques d’immatriculation…). (Si cela vous intéresse d’en apprendre plus et de pratiquer, nous avons des CTF OSINT et cyber gratuits).
5. Le comportement : vos horaires de connexion, votre façon d’écrire, les sujets que vous suivez : un profil comportemental se constitue facilement (style d’écriture, récurrence de fautes d’orthographe, thème, etc).

Les outils qui marchent (et leurs limites)

Le VPN : utile, mais un peu surévalué

Un VPN chiffre votre trafic et masque votre IP vis-à-vis des sites que vous visitez et de votre fournisseur d’accès. C’est très bien pour cela. Mais vous déplacez simplement votre confiance : votre fournisseur d’accès ne voit plus rien, mais votre fournisseur de VPN, lui, voit potentiellement tout. Un VPN ne vous protège pas du fingerprinting, ni d’une connexion à vos comptes.

Ce point sur les VPN mérite plus d’informations.

Les VPN fonctionnent grâce à un protocole dit de tunnellisation. Il permet d’encapsuler et de chiffrer les données transférées d’une machine à une autre. On parle donc de tunnel car les informations ne sont pas lisibles lors du transfert.

Concrètement, les données sont chiffrées à partir du périphérique utilisant le VPN (votre ordinateur, smartphone, tablette, routeur…etc) jusqu’au serveur du service VPN que vous utilisez. Le Fournisseur d’Accès Internet (FAI) ne sait donc pas ce que contiennent vos données ni personne d’autre techniquement pendant leur acheminement.

Les données sont ensuite déchiffrées depuis le serveur VPN pour atteindre leur destination finale (le site web que vous souhaitez visiter).

Le service VPN peut également permettre de chiffrer d’autres protocoles que HTTP, comme FTP (pour transférer des fichiers) ou IMAP (pour accéder à ses e-mails). Ce point est souvent mal compris : le service VPN protège toute votre connexion réseau, peu importe les programmes utilisés (mail, navigateur, jeux vidéo,…).

Le problème des VPN, c’est que tout repose sur le prestataire. S’il est de confiance, votre anonymat est donc supposé garanti, comme c’est le cas pour NordVPN, ProtonVPN, et ExpressVPN, trois VPN parmi les plus recommandés sur Internet, mais surtout les trois VPN que j’ai testé personnellement et que je recommande. L’ordre donné n’est pas spécialement un ordre de préférence même si j’utilise personnellement NordVPN qui m’a convaincu par la réalisation régulière d’audits indépendants sur leurs systèmes qui visent à démonter que la sécurité des données est prise au sérieux.

Tout comprendre sur les fameux logs de VPN

La plupart des services VPN enregistrent les vraies adresses IP des internautes (en tout cas celles utilisées pour visiter leur site) durant un certain temps. Cela n’est (à priori) pas pour vous pister mais plutôt pour réagir en cas de souci technique avec votre compte, un serveur utilisé ou leur service de manière générale. Même chose pour des problèmes plus graves ou lors de demandes venant de la justice (ce que l’on appelle en France une réquisition judiciaire).

Car, si vous faites partie d’une organisation de cyberterroristes visant à pirater des banques ou je ne sais quoi, il y a tout de même des chances que le service VPN soit amené à donner vos informations s’il en a et s’il est situé dans un pays coopératif.

Et non seulement le service VPN donnera ces informations mais Facebook, Google, Microsoft, votre patron, vos collègues, et bien d’autres le feront également sans problèmes (ils seront même forcés). Et la loi (qui est à peu près la même partout dans le monde) interdit ensuite l’entreprise de divulguer qu’elle a subi une réquisition judiciaire. D’où les warrant canaries servant à promettre qu’une société n’a pas fait l’objet de réquisition tant qu’ils sont affichés, et disparaissent ou cessent d’être mis à jour si un problème survient (mais le problème de confiance reste le même, et un service VPN peu sérieux n’aura aucun intérêt à faire savoir qu’il a été réquisitionné de toutes manières).

Donc d’un point de vue anonymat sur Internet pour 97% des tâches, vous êtes bien anonyme avec un VPN.

Si vous êtes un internaute souhaitant surtout masquer son identité ici et là, tout en profitant d’une sécurité renforcée, d’un déblocage des sites censurés, et de tous les avantages des VPN cités précédemment, la NSA n’ira pas vous chercher… ni personne d’autre.

Il est également intéressant de lire les conditions d’utilisation, car nombreux sont les VPN (que je ne citerai pas) à promettre un surf anonyme à 100% alors qu’on peut lire dans les conditions que les données de connexion sont sauvegardées pour une durée non déterminée et divulguées à des services tiers.

Les internautes préfèrent naturellement les services VPN dits « no logs » qui n’enregistrent donc (normalement) aucune information sur vous (surf anonyme supposé à « 100% »)

La mauvaise influence des influenceurs ?

Vous avez sans doute entendu parler de NordVPN (et d’autres) sur Youtube. En effet, des campagnes promotionnelles sont régulièrement lancées et le fonctionnement est relativement simple et standard : l’influenceur est payé soit à la commission (en pourcentage de chaque vente), soit au forfait ou selon les vues d’une vidéo. Parfois les deux se cumulent. Et théoriquement cela ne pose aucun problème de promouvoir un produit tout en étant rétribué pour cela.

Sauf que nous parlons ici d’un sujet important, technique, et qu’il convient à minima d’expliquer la réalité au sujet des VPN. Et c’est ce pourquoi il me semble important de dire la vérité sur l’anonymat en ligne plutôt que de sur-vendre le produit.

À ce propos, n’importe qui peut obtenir un lien de parrainage (aussi appelé lien affilié) en disposant d’un compte actif (ou en s’inscrivant sur une plateforme dédiée comme Awin). Dès 2015 et alors que NordVPN n’était pas encore disponible en français, j’en avais fait un test complet sur mon blog, utilisant moi-même par la suite un lien affilié.

Ce qui m’avait convaincu était le fait que NordVPN était le premier service VPN a avoir demandé un audit indépendant de sa politique no logs. Le rapport du cabinet PwC, visible pour les clients ici indique que seules des informations minimales sont envoyées et dans un but précis. Ce type de rapport améliore beaucoup la crédibilité d’un tel service.

Tor : le vrai anonymat réseau

Le réseau Tor fait transiter votre trafic par plusieurs relais successifs, de sorte qu’aucun maillon ne connaît à la fois votre identité et votre destination. C’est l’outil de référence pour l’anonymat de l’adresse IP. Sa limite : il est lent, certains sites le bloquent, et il ne vous protège toujours pas de vos propres erreurs (login, fingerprinting, fichiers piégés).

Les connexions entre les nœuds sont chiffrées, en somme il est donc supposé être « impossible » de retrouver l’internaute initial. Mais, petite subtilité, comme avec le serveur VPN qui déchiffre le trafic avant de joindre le serveur/site de destination, le dernier nœud Tor en fait de même. Pourquoi ? Parce que techniquement parlant, si vous envoyez un message chiffré à votre ami… il n’arrivera pas à le lire sans le déchiffrer… Il faut donc à un moment ou à un autre qu’un déchiffrement se fasse. Le déchiffrement ne signifie pas pour autant que toutes vos données sont éparpillées en clair sur Internet. Cela signifie simplement que la couche de chiffrement additionnelle du VPN ou de Tor est retirée juste avant d’atteindre la destination. Mais c’est toujours l’adresse IP Tor ou VPN qui contactera le site final.

Le site que l’internaute cherche à visiter ne verra donc que l’adresse IP du dernier nœud. TOR est cependant (très) lent puisque la connexion passe justement par plusieurs nœuds.

TOR était souvent la solution la plus recommandée pour être anonyme sur Internet, mais il faut savoir que TOR est rempli d’escrocs, trafiquants et cyberterroristes cachés dans le deep web, qui n’attendent que de VOUS pirater. La cyberpolice passe donc par l’infiltration. Des agents utilisent également TOR (ou même des serveurs-noeuds) pour y voir ce qui s’y passe, et vu le nombre d’arrestations ou d’activités malveillantes, on peut se demander si TOR est vraiment sûr (et utile ?) pour le surf anonyme sur Internet en tant que particulier.

Les adresses IP du réseau TOR sont également connues, cela permet facilement de bannir les utilisateurs de TOR, ou de les repérer. Et le pire dans tout cela, c’est qu’il existe beaucoup de sites « miroirs » de TOR (onion.cab) rendant accessible le contenu que vous publiez sur le « deep web » en dehors de TOR (via Google directement).

En bref, TOR n’est pas forcément recommandé dans toutes les situations. Et merci à Christophe, un lecteur du site, pour l’info selon laquelle TOR pourrait être financé par des agences gouvernementales (https://www.developpez.com/actu/191341/Tor-serait-finance-en-grande-partie-par-des-agences-gouvernementales-americaines-et-coopererait-avec-des-agences-du-renseignement/). Je n’en sais rien à titre personnel et je vous invite évidemment à vous faire votre propre avis sur Tor ainsi que sur chaque autre solution donnée ici.

Tails et systèmes dédiés : le niveau au-dessus

Pour les besoins élevés, et notamment pour se prémunir des fameuses fuites de données techniques liées à notre navigation et nos équipement, on isole l’activité sensible sur un système séparé qui ne laisse aucune trace sur la machine. L’ensemble passe par Tor par défaut, et repart de zéro à chaque démarrage. C’est le bon outil quand le cloisonnement compte vraiment : un environnement « propre » distinct de votre vie numérique habituelle. Mais évidemment, plus en ajoute de de l’anonymat, plus la mise en place est lourde, et inversement.

Le navigateur durci : la base que tout le monde néglige

Avant même VPN et Tor, durcir votre navigateur (bloqueur de traceurs, résistance au fingerprinting, désactivation des mouchards) traite la couche que ces outils ignorent. Pour la majorité des gens, c’est le meilleur rapport effort/gain pour réduire le pistage quotidien.

Les erreurs qui trahissent même les prudents

• Mélanger les identités. Utiliser le même pseudo, le même mail ou le même numéro entre votre activité « anonyme » et votre vie réelle. Le recoupement est trivial.
• Oublier les métadonnées. Publier une photo prise au smartphone sans la nettoyer : la position GPS y est parfois inscrite.
• Faire confiance à la « navigation privée ». Elle efface votre historique local, point. Votre fournisseur d’accès, les sites et les traceurs vous voient toujours.
• Briser la cohérence horaire. Se connecter à son compte anonyme toujours aux mêmes heures que son compte réel crée une corrélation exploitable.
• Installer trop d’extensions. Paradoxalement, une collection d’extensions « de sécurité » rare rend votre navigateur plus unique, donc plus traçable. Expérience en ligne sans risque sur l’anonymat ici.

Par où commencer concrètement

Si vous partez de zéro, voici l’ordre que je recommande, du plus rentable au plus exigeant :

1. Durcissez votre navigateur principal (bloqueur de traceurs sérieux, paramètres anti-fingerprinting).
2. Passez à un DNS chiffré et à un moteur de recherche qui ne vous profile pas.
3. Nettoyez vos comptes : séparez clairement identité publique et privée, activez la double authentification partout.
4. Ajoutez un VPN de confiance pour les usages courants où masquer votre IP a du sens.
5. Réservez Tor et les systèmes dédiés aux besoins réellement sensibles, avec la discipline qui va avec.

Et surtout : la technique ne fait que la moitié du travail. L’autre moitié, c’est la discipline opérationnelle : ne jamais mélanger les identités, réfléchir avant de publier, comprendre ce que chaque outil protège et ne protège pas. C’est exactement ce qu’on appelle l’OPSEC, et c’est ce qui sépare quelqu’un de réellement discret de quelqu’un qui empile des outils.

Questions fréquentes

Rédigé par Michel Kartner, consultant-formateur en cybersécurité depuis plus de 15 ans, fondateur de Cyberini et auteur de la chaîne YouTube éponyme (~200 000 abonnés). Cet article condense les réflexes enseignés en formation sur l’anonymat et l’OPSEC.